AEAD přidává integritu, ne přihlášení ani funkční cestu

Autentizované šifrování vrací dvě věci najednou: šifrový text, který skrývá obsah, a značku, díky níž příjemce odhalí manipulaci. Dříve se tyto funkce skládaly z oddělených částí a špatné kombinace vedly k nenápadným selháním. Moderní konstrukce kombinaci i podmínky, za nichž platí, předepisují. Slovo autentizované zde označuje značku, nikoli osobu.

Obě záruky platí pro chráněný paket a pro nic mimo něj.

Dvě záruky v jedné konstrukci

Šifrování odpovídá na otázku, zda to pozorovatel může přečíst; integrita na otázku, zda s tím bylo manipulováno. Tunel potřebuje obojí, protože pozměněný obsah je horší než nečitelný obsah. AEAD určuje, jak je spojit pod jedním klíčem, spolu s přidruženými daty, která se autentizují, ale nešifrují. Příjemce odmítne vstup, který kontrolou neprojde.

Přidružená data vážou viditelná pole ke kontrole. Která pole to jsou, závisí na protokolu, a není to slib, že každá vnější adresa je tajná: pole může být pokryto značkou a přesto zůstat na drátě čitelné.

Nonce není detail

Klíče a nonce se musí zpracovávat správně a opakované použití nonce selhává tvrdě. Zopakování nonce pod jedním klíčem může odhalit vztahy mezi zprávami a zcela podkopat záruku integrity. Proto generování a pořadí nonce vlastní protokol, ne aplikace.

Je to podmínka záruky, nikoli doporučení k implementaci. Nedbalé nonce nedávají slibovanou vlastnost.

Ochrana proti opakování je samostatný stav

Platný starý paket lze zopakovat, i když jeho značka zůstane nedotčená, protože značka dokazuje pravost, ne čerstvost. Zpracování opakování potřebuje vlastní stav: pořadová čísla, okno a pravidlo, co přijmout. Tento stav žije v implementaci protokolu a nesouvisí s volbou šifry. Tunel se silným šifrováním a bez ochrany proti opakování stále přijme včerejší provoz.

Oba mechanismy spolupracují, aniž by byly stejné, a jeden může být správný, zatímco druhý chybí.

Co vám značka neřekne

Identitu protějšku určují certifikáty nebo předem sdílené klíče, nikoli to, že je šifra autentizovaná. Směrování, překlad jmen a záznamová politika operátora stojí mimo kryptografickou hranici. Úspěšné vyjednání algoritmu říká jen, že se oba konce shodly na sadě, což je o kompatibilitě, ne o kvalitě implementace na kterékoli straně.

Pro uživatele: vybírejte udržovanou a podporovanou konfiguraci protokolu. AEAD je vlastností této konfigurace, ne pozváním stavět šifrování ručně kolem tunelu.

Zaznamenejte, která sada byla vyjednána, zda je ochrana proti opakování aktivní a jak se protějšky identifikují. Tři fakta, tři různé záruky.